Curso de DLP: Prevención de Pérdida de Datos
Reconoce el valor de los datos como componente esencial de los negocios digitales
¿Qué es Seguridad de la Información y por qué hablamos de prevención de pérdida de datos?
La Seguridad de la Información: Es un valor estratégico, generador de confianza.
No es solo Infraestructura: Va mucho más allá de la seguridad de los sistemas de información.
Es iterativa y resiliente: No solo busca preservar la información sino también permite potenciar los negocios.
La seguridad de la información busca garantizar 3 atributos fundamentales:
- Confidencialidad: La información debe ser accesible sólo a aquellas personas autorizadas.
- Integridad: La información debe ser completa, exacta e inalterada.
- Disponibilidad: La información debe poder ser consultada, localizada y/o recuperada cuando se le requiera.
Estudios de Casos: Riesgos materializados que han afectado a grandes empresas
Lecciones:
- Ningún sistema es 100% seguro
- La seguridad de la Información debe tratarse con un enfoque estratégico, transversal y preventivo
- Es necesario siempre considerar el contexto y los comportamientos humanos
- El liderazgo y la generación de competencias es fundamental para hacer una adecuada gestión de riesgos
Iniciación: Planeación y Compromiso Interno para adelantar un proceso de Gestión de Riesgos de Seguridad
Este es un proceso cíclico, no puede ser estático.
- Planeación y compromiso interno -> Esto es fundamental
- Identificación de activos de información -> ¿Qué datos utilizas en tu empresa?
- Identificación de riesgos, amenazas y/o vulnerabilidades -> Riegos y amenazas siempre nos pueden ocurrir. Desde inundaciones, hasta daños eléctricos e incendios.
- Identificación de controles, incidentes a incidentes -> Recuerda la triada de la información
- Ejecución - Monitoreo y evaluación -> Pon a prueba todo esto
Recuerda:
- Análisis de contexto (Estudio del Negocio)
- Identificación de Actores Internos y Externos
- Comprimiso de Alta Dirección
¿Qué son los activos de Información? Cuál es su valor y cómo identificar los controles a implementar de acuerdo a su nivel de criticidad
Los activos de información son todos los recursos que apoyan tu modelo de negocio.
- Bases de datos
- Archivos
- Manuales
- Aplicaciones
- Hardware
- Software
- Entre otros
¿Cómo identificar Activos de Información?
- Hacer un inventario de activos
- Identificar su responsable
- Determinar su nivel de importancia
- Clasificar los activos identificados
¿Qué son los riesgos digitales? Cómo identificarlos y tratarlos
Los riesgos se identificar por:
- Tipos de activos
- Amenazas
- Vulnerabilidades
- Riesgos inherentes a la seguridad digital
¿Cuál es la diferencia entre amenaza y vulnerabilidad?
La amenaza es un factor externo. Algo que un tercero puede crear para dañarme.
La vulnerabilidad es un factor interno. Una debilidad propia.
Tenemos 2 tipos de riesgo:
- Ihnerente -> Propio del negocio
- Residual -> Podemos soportarlo
Debemos valorar qué tan probable es que suceda un riesgo y también valorar qué tan dañido es el negocio ese riesgo.
Tenemos 3 controles para la prevención de pérdida de datos:
- Controles en la Recolección
- Controles en el flujo de la información
- Controles en el alojamiento y disposición
Debemos calificar y evaluar nuestros controles, así como también saber cómo tratar los riesgos de manera constante.
Prevención de pérdida de datos, una visión estratégica y proactiva, no solo técnica y reactiva
Tim Cook sobre Apple y la privacidad: "Estamos de tu lado"
Recuerda esto: Si un usuario se da cuenta de que su información está siendo descuidada en tu negocio, es un usuario que no vuelve. Protege la información de tu empresa y tus usuarios.
Utiliza los conceptos básicos de gestión de riesgos de seguridad digital para prevenir la pérdida y/o filtración tus datos
Modelo de Gestión de Riesgos de Seguridad Digital y su relación con la Protección de Datos Personales
Reglamento Europeo de Protección de Datos
El reglamento 32 es importante.
Diferenciación de la Visión Europea de protección de datos personales, a la visión Norteamericana
IBM perfilando personas desde tiempos de la Alemania Nazi
La visión Europea es para evitar que esclavicen a la humanidad
La visión Americana es para comercializar los datos en donde te dan algo a cambio de tus datos
El modelo americano se ve en la Propuesta del estado de Califorma AB-375
Roles, Responsabilidades, Recursos y Criterios para la Gestión de Riesgos de Seguridad Digital
Roles:
- Líder -> Encargado de asegurarse de que se aplican los controles de prevención de pérdida de datos. Debe saber la política de gestión de riesgos de seguridad. Indica a los demás qué tienen que hacer para cumplir con su rol.
- Oficiales de cumplimiento -> Persona independiente que se encarga de evaluar los controles.
- Responsables -> Decide cuál es la finalidad de qué hacer con la información.
Es importante que todos conozcan el contexto del negocio, cuáles son los activos de información.
Definición y tipologías de Riesgos y Gestión de incidentes de seguridad de la información
La prevención de pérdida de datos, como factor de crecimiento y cumplimiento regulatorio
El Reglamento Europeo de Protección de datos, incorpora un modelo de protección basado en la Gestión de Riesgos, que se está convirtiendo en un estándar internacional.
Por lo tanto, la Preveción de Pérdida de Datos dentro de cualquier organización puede darse en los términos de dicha norma.
Análisis Normativo GDPR y CCPA. Modelos de Gestión de Riesgos de Seguridad
- GPDR
- CCPA
- ISO 31000
- MAGERIT
- Introducing OCTAVE Allegro: Improving the information Security Risk Assessment Process
Construye una política de prevención de pérdida de datos para tu organización
Identificación de información sensible dentro de los activos de información e infraestructuras cibernéticas críticas asociadas a su negocio
Fase 1: Planeción e identificación
- Ten claro tu negocio, y los flujos de información
- Analiza contexto interno y externo
- Caracteriza tus procesos y procedimientos
Fase 2: Preparación
- Identificar cuáles son las políticas de gestión y tratamiento que tienes definidas en tu organización (Si no las tienes debes redactarlas)
- Define roles y establece responsabilidades
- Asigna los recursos técnicos, administrativos y económicos necesarios para la implementación
Realiza una evaluación de impacto de privacidad
Guía práctica para las evaluaciones de impacto en la protección de los datos sujetas al RGPD
Identificación y valoración de los riesgos inherentes y residuales asociados a su actividad
Fase 3- Construcción
- Identifica tus potenciales amenazas y vulnerabilidad
- Define y valora los riesgos inherentes a la seguridad digital
- Identifica y evalúa los controles de seguridad que vas a implementar
Técnicas de tratamiento de datos, minimización, anonimización, seudonimización, disociación y agregación de datos
Técnicas preventivas
- Minimización (Control de recolección): Únicamente trata y recolecta aquellos datos que son absolutamente necesarios para tu objeto de negocio
- Define roles (Control de flujo): Incorpora reglas de negocio que te permitan controlar los flujos internos a la información, para interrumpir automáticamente cualquier flujo o intercambio no autorizado.
- Alertas de detección (control de flujo): Incorpora reglas de negocio que te permitan generar alertas para prevenir el acceso o intercambio de información no autorizada
- Cifrado de información (control de tratamiento): Establece reglas para asegurar que la información que se comparta vaya siempre cifrada
- Anonimización, Disociación y Agregación (control de tratamiento): Separa los datos del individuo, conviértelos en estadísticas, refínalos y aprovecha esta información
- Realiza copias de seguridad (control de disposición): Define un plan de recuperación y continuidad, realiza copias de seguridad periódicas, y prueba tus mecanismos de recuperación de datos
Evaluación y retroalimentación de los controles asociados a tu actividad
Fase 4 - Seguimiento y Evaluación
- Elabora un plan de auditoria que te permita controlar la efectividad de tu política
- Asegúrate de que la alta direccon participe en el seguimiento y evalúe el desempeño
- Ten consolidado y actualizado tu reporte de incidentes
Todos los sistemas de control deben estar siendo evaluados y buscar mejorar.
Política de prevención de pérdida de datos
Guía de orientación para la GRS en el sector mixto y privado
Debemos llevar la matriz a un documento que será la política.
Qué hacer en caso de materialización del riesgo
¿Qué hacer en caso de materialización de un riesgo de seguridad o de pérdida o filtración de datos?
Recuerda que ningún sistema es 100% seguro.
Si sufrimos algún ataque, alguna pérdida de información, los pasos que debemos de gestionar con resiliencia son:
- Identificar qué fue lo que sucedió. ¿Por qué sucedió eso?
- Implementar lo más rápido posible el control.
- Evaluar, volver a preguntarnos, ¿qué fue lo que sucedió? ¿nuestro control es efectivo?
Siempre debes:
- Garantizar la cadena de custodia
- Analizar el flujo de información para identificr las causas
- Activar el equipo de gestión de incidentes
- Informar al usuario y a las autoridades *
- Levantar un reporte de incidentes
Recuerda: LA RESPONSABILIDAD ES INSTITUCIONAL
Cadena de custodia de evidencias digitales y contacto con autoridades
Cadena de custodia: busca evitar que los elementos materiales de prueba sean alterados, ocultados o destruidos.
Cada país tiene su propia legislación, sin embargo, debes seguir el estándar ISO 27037:2012, tus controles deben garatizar como mínimo: la identificación, recolección, guarda y preservación de las potenciales evidencias, para que sean valoradas por los jueces y las autoridades.
Lecciones aprendidas de la gestión de incidentes
- Analiza el contexto
- Sé preventivo y no reactivo
- Gestiona con resiliencia
- Planifica tu control
- Documenta los incidentes
- Control estratégico
Métodos para la recuperación de datos
Recuerda que es supremamente importante que tengas un plan de recuperación y continuidad. Ten siempre un plan B. Esto te ayudará a garantizar la recuperación de tu información y la continudad de tu negocio.
- Ejecuta frecuentemente copias de seguridad y ponlas a prueba.
Creación y restauración de copias de seguridad
Instituto Nacional de Ciberseguridad de España S.A.
10 preguntas sobre el backup que salvarán a tu negocio
Tipos de soluciones que se pueden implementar para prevenir la pérdida de datos
Best data loss prevention service of 2021
Conclusiones finales y cierre
Seguridad + Privacidad = CONFIANZA Y CRECIMIENTO